Sanciones por usar imágenes generadas con IA
Sanciones por utilizar imágenes generadas con IA
Cualquier archivo visual en el que una persona pueda ser identificada es, en realidad, un dato personal y su tratamiento está sujeto a la Normativa de protección de datos (RGPD + LOPDGDD).
No hace falta que una imagen lleve nombre o etiqueta, si una persona es identificable por rasgos como rostro, voz, gestos o vestimenta, se trata de dato personal. Esto incluye imágenes generadas o modificadas con IA.
El solo hecho de subir una imagen o vídeo de terceros a un sistema de IA ya constituye un tratamiento de datos personales, independientemente de la finalidad declarada o de que el resultado se difunda o no fuera del entorno empresarial.
En la práctica, crear una imagen que incorpora rasgos reconocibles de una persona puede provocar reclamaciones por vulneración de la privacidad, pérdida de confianza de clientes y
costes legales que superan el ahorro de producir el contenido internamente.
Escenarios reales que debes reconocer
Imagina una pequeña agencia de marketing que genera creatividades para un bar local, usando rostros “realistas” para mostrar a clientes felices, o una tienda online que crea fotografías de producto con modelos generados a partir de imágenes públicas sin autorización.
Otro caso frecuente es el de una empresa de formación que utiliza avatares para promocionar cursos y termina empleando rasgos de personas reales sin consentimiento.
En todos estos ejemplos el problema no es la IA en sí, sino la identificación de personas y la ausencia de una base legal clara para el tratamiento de esos datos / imágenes.
Qué exige la Ley
Dado que crear o utilizar imágenes (fotos o videos) que permitan identificar a una persona física se considera un tratamiento de datos personales, está sujeto a la Normativa de protección de datos y esto implica, entre otras cosas, disponer de una base jurídica (ej. consentimiento de la persona interesada o afectada) o justificar el tratamiento por otra causa prevista legalmente (art. 6 RGPD).
Además, si el contenido afecta a menores la protección se eleva y pueden concurrir responsabilidades penales.
En cuanto a otros marcos normativos, como es la NIS2 y ENS se relacionan más con la seguridad de servicios y redes (relevantes si la empresa presta servicios digitales críticos), eIDAS2 influye si utilizas servicios de identificación electrónica para verificar usuarios.
DORA aplica principalmente a entidades financieras. Es importante evaluar caso por caso qué normas adicionales resultan aplicables.
Medidas prácticas que puedes aplicar desde hoy
Antes de encargar o publicar contenido generado por IA, incorpora controles sencillos en tus procesos, exigiendo a los proveedores de IA cláusulas contractuales que obliguen a acreditar la procedencia de los datos usados para entrenar modelos. Pide que faciliten información sobre riesgos de sesgo y técnicas de mitigación, asimismo, documenta por escrito el consentimiento cuando utilices la imagen de una persona real.
Técnica y operativamente, evita usar rostros reales siempre que sea posible y emplea modelos sintéticos certificados o bancos de imágenes con licencias claras.
Si trabajas con proveedores de generación de imágenes, solicita evidencia sobre trazabilidad y mecanismos de marca de agua o metadata para identificar el origen del fichero. Implementa un registro interno de “uso de IA” que describa finalidades, categorías de datos, riesgos y medidas adoptadas, esto facilitará una posible Evaluación de impacto (EIPD) si el tratamiento es de alto riesgo.
Por último, forma a tu equipo de marketing en materia de protección de datos personales y al Responsable de privacidad y Responsable de legal para que detecten contenidos problemáticos antes de su publicación.
Si recibes una queja o detectas un deepfake: pasos inmediatos
Actuar con rapidez reduce daños. Contacta con tu Consultor o Delagado de protección de datos para recibir el asesoramiento necesario en esta materia y conserva todas las pruebas (capturas, URL, logs), retira el contenido cuando proceda y comunica internamente el incidente.
Si hay indicios de menores afectados o delito, contacta a las autoridades competentes y paralelamente, responde a la reclamación del afectado informando de las medidas adoptadas.
Revisa contratos con plataformas (por ejemplo, redes sociales o marketplaces) para conocer los procedimientos de retirada y solicita apoyo legal para valorar la necesidad de una comunicación a la AEPD o para negociar soluciones extrajudiciales.
Claves prácticas y siguiente paso
La lección para las pymes es clara, la creatividad con IA no exime de obligaciones, por lo que debes proteger a tu empresa con cláusulas contractuales, documentación de decisiones, controles técnicos sencillos y formación del personal.
Si quieres, podemos ayudarte a revisar tus políticas de uso de IA y a incorporar cláusulas y procesos que reduzcan la exposición legal.
Si eres cliente contacta con tu consultor para recibir documentación e instrucciones al respecto y si aún no eres cliente, contáctanos en el email: info@businessadapter.es, también puedes llamar al 96 131 88 04, o deja tu mensaje en nuestro formulario: